multi-juicer

Das Durchführen von CTFs und Security Trainings mit OWASP Juice Shop ist normalerweise ziemlich knifflig, Juice Shop ist einfach nicht dafür gedacht, von mehreren Benutzern gleichzeitig genutzt zu werden. Alle anzuweisen, Juice Shop auf ihrem eigenen Rechner zu starten, funktioniert zwar, nimmt aber zu viel wertvolle Zeit in Anspruch.

MultiJuicer gibt dir die Möglichkeit, separate Juice Shop-Instanzen für jeden Teilnehmer auf einem zentralen Kubernetes-Cluster auszuführen, um Events ohne die Notwendigkeit lokaler Juice Shop-Instanzen durchzuführen.

Was es tut:

• Erstellt dynamisch neue Juice Shop-Instanzen, wenn sie benötigt werden
• Läuft auf einer einzigen Domain, verfügt über einen LoadBalancer, der den Traffic an die Juice Shop-Instanz der Teilnehmer sendet
• Eine übersichtliche Leaderboard-Anzeige des Fortschritts aller Teilnehmer
• Eine praktische Admin-Seite zur Verwaltung der Instanzen
• Backup und automatisches Anwenden des Challenge-Fortschritts bei Neustarts des Juice Shop-Containers
• Automatische Bereinigung alter und ungenutzter Instanzen

Eine detaillierte Beschreibung der Architektur und der einzelnen Komponenten findest du in der Architekturdokumentation.

👉 Neu bei MultiJuicer? Sieh dir den visuellen Rundgang an, um zu erfahren, wie sich Teilnehmer registrieren, ihre JuiceShop-Instanzen erhalten und wie die Punktzahlen auf der Bestenliste verfolgt werden.

Installation

MultiJuicer läuft auf Kubernetes. Für die Installation benötigst du helm

helm install multi-juicer oci://ghcr.io/juice-shop/multi-juicer/helm/multi-juicer

Siehe Produktionshinweise für eine Checkliste der Werte, die du wahrscheinlich konfigurieren musst, bevor du MultiJuicer in richtigen Events einsetzt.

Um MultiJuicer mit Unterstützung für die KI/LLM-bezogenen Challenges ab JuiceShop v20+ einzurichten, siehe AI/LLM-Konfigurationsanleitung

Installationsanleitungen für spezifische Cloud-Anbieter / Umgebungen

Grundsätzlich läuft MultiJuicer auf so ziemlich jedem Kubernetes-Cluster. Um es jedoch für alle, die neu bei Kubernetes sind, einfacher zu machen, haben wir einige Anleitungen, wie man einen Kubernetes-Cluster mit installiertem MultiJuicer für einige spezifische Cloud-Anbieter einrichtet.

• Digital Ocean
• AWS
• OpenShift
• Einfaches Kubernetes
• Azure

Anpassung der Einrichtung

Du hast einige Optionen, wie du den Stack einrichten kannst, mit einigen Möglichkeiten, die JuiceShop-Instanzen nach deinen Wünschen anzupassen. Die Standardkonfigurationswerte findest du unter: helm/multi-juicer/values.yaml

Lade die Datei herunter & speichere sie und teile Helm mit, dass er deine Konfigurationsdatei anstelle der Standardeinstellungen verwenden soll, indem du Folgendes ausführst:

helm install -f values.yaml multi-juicer ./multi-juicer/helm/multi-juicer/

Um das Theming der JuiceShop-Instanzen und der MultiJuicer-Oberfläche anzupassen (Theme, Logo, aktivierte Challenges, ...), siehe JuiceShop-Anpassungsanleitung.

Deinstallation

helm delete multi-juicer

FAQ

Wie viele Rechenressourcen wird der Cluster benötigen?

Um auf der sicheren Seite zu sein, kalkuliere mit:

• 1 GB Speicher & 1 CPU Overhead für MultiJuicer selbst
• 300 MB & 0,2 CPU * Anzahl der Teilnehmer/Teams für die einzelnen JuiceShop-Instanzen

Die obigen Zahlen spiegeln die Standard-Ressourcenlimits wider. Diese können angepasst werden, siehe: Anpassung der Einrichtung

Wie viele Benutzer kann MultiJuicer verarbeiten?

Es gibt keine wirkliche feste Grenze. (Auch wenn du eine konfigurieren kannst 😉) Der benutzerdefinierte LoadBalancer, durch den der gesamte Verkehr für die einzelnen Instanzen fließt, kann nach Belieben repliziert werden. Du kannst auch einen Horizontal Pod Autoscaler anfügen, um den LoadBalancer automatisch zu skalieren.

Warum ein benutzerdefinierter LoadBalancer?

Es gibt einige besondere Anforderungen, von denen wir nicht glauben, dass sie mit einem vorgefertigten Load Balancer einfach zu lösen sind:

• Einschränkung der Anzahl der Benutzer für eine Bereitstellung auf nur die Mitglieder eines bestimmten Teams.
• Das Cookie des Load Balancers muss sicher und nicht leicht fälschbar sein, um auf eine andere Instanz zuzugreifen.
• Behandlung des Startens neuer Instanzen.

Wenn du tolle Ideen hast, wie diese Probleme ohne einen benutzerdefinierten Load Balancer gelöst werden können, schreib uns bitte, wir würden uns freuen, von dir zu hören!

Warum eine separate Kubernetes-Bereitstellung für jedes Team?

Es gibt einige ziemlich gute Gründe dafür:

• Die Möglichkeit, die Instanzen eines Teams separat zu löschen. Sicheres Herunterskalieren ohne Entfernen von Instanzen aktiver Teams ist bei einer skalierten Bereitstellung wirklich knifflig. Du kannst nur die gewünschte Skalierung wählen, nicht welche Pods behalten und welche verworfen werden sollen.
• Sicherzustellen, dass Pods nach einer Neuerstellung eines Pods immer noch korrekt den Teams zugeordnet sind. Dies ist bei separaten Bereitstellungen kein Problem und bei skalierten Bereitstellungen wirklich schwierig.
• Die Möglichkeit, den Teamnamen in den Bereitstellungsnamen einzubetten. Das klingt nach einem dummen Grund, macht das Debuggen aber SOOO viel einfacher, einfach mit kubectl.

Wie verwaltet man JuiceShop einfach mit kubectl?

Du kannst alle JuiceShops mit relevanten Informationen mithilfe der Custom-Columns-Funktion von kubectl auflisten.

$ kubectl get -l app.kubernetes.io/name=juice-shop -o custom-columns="TEAM:metadata.labels.team,SOLVED-CHALLENGES:metadata.annotations.multi-juicer\.owasp-juice\.shop/challengesSolved,LAST-REQUEST:metadata.annotations.multi-juicer\.owasp-juice\.shop/lastRequestReadable" deployments
TEAM         SOLVED-CHALLENGES   LAST-REQUEST
foobar       3                   Wed May 4 2042 18:14:22 GMT+0000 (Coordinated Universal Time)
team-42      0                   Wed May 4 2042 18:14:30 GMT+0000 (Coordinated Universal Time)
the-empire   0                   Wed May 4 2042 18:14:46 GMT+0000 (Coordinated Universal Time)

Woher kommt dieses Projekt?

Das Projekt begann bei iteratec, einem deutschen Softwareentwicklungsunternehmen, um ihre Sicherheitstrainings für ihre eigenen Entwickler und ihre Kunden durchzuführen. Das Projekt wurde dann 2019 als Open Source veröffentlicht und 2023 an die OWASP-Organisation / das OWASP Juice Shop-Projekt gespendet.

Sprich mit uns!

Du erreichst uns im Kanal #project-juiceshop des OWASP Slack Workspace. Wir würden uns über jedes Feedback oder Nutzungsberichte von dir freuen. Falls du noch nicht im OWASP Slack Workspace bist, kannst du über diesen Link beitreten.